EU AI Act: transparantieregels vanaf augustus 2026

2 augustus 2026 maakt niet de volledige EU AI-verordening in één keer handhaafbaar. Op die datum worden de transparantieregels van artikel 50 van toepassing, worden de verplichtingen voor AI-systemen met een hoog risico uitgebreid en komt de volledige handhaving door de Commissie van de verplichtingen voor AI voor algemene doeleinden dichterbij. De kostbare fout is om transparantie te behandelen als een label dat vlak voor de lancering wordt toegevoegd. Aanbieders hebben technische controles voor herkomstinformatie nodig, terwijl gebruiksverantwoordelijken informatie moeten verstrekken die mensen daadwerkelijk kunnen opmerken en begrijpen.

2 augustus is een belangrijke mijlpaal, geen universele startdatum

De eerste correctie in de planning is eenvoudig: 2 augustus 2026 is één operationele mijlpaal binnen een gefaseerd tijdschema. De transparantievereisten van artikel 50 en veel verplichtingen voor AI-systemen met een hoog risico worden dan van toepassing, maar andere bepalingen zijn al eerder ingegaan of treden pas in 2027 in werking.

De verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden gelden sinds 2 augustus 2025. Volgens de GPAI-richtsnoeren van de Commissie komt de volledige handhaving door de Commissie, inclusief de relevante bevoegdheden om boetes op te leggen, samen op 2 augustus 2026.

Voor sommige productgerelateerde vereisten voor AI-systemen met een hoog risico gelden latere invoeringsdata. Een complianceplan dat 2 augustus als startpunt voor alle voorbereidingen beschouwt, mist daarom verplichtingen die al van kracht zijn en beheersmaatregelen die voor 2027 nodig zijn.

De verordening kan ook van toepassing zijn op organisaties buiten de EU. Dat kan het geval zijn wanneer een AI-systeem in de EU op de markt wordt gebracht of wanneer de output ervan binnen de EU wordt gebruikt, zoals blijkt uit het officiële kader van artikel 50.

Waarom dit belangrijk is: Breng deadlines in kaart per systeem, verplichting, markt en rol, niet aan de hand van één bedrijfsbrede datum.

De rollen van aanbieder en gebruiksverantwoordelijke verdelen de verantwoordelijkheid voor compliance

Bij een klantenservicechatbot die onder de merknaam van een softwareleverancier wordt ontwikkeld en verkocht, is die leverancier de aanbieder. De retailer die de chatbot voor klanten in de EU inzet, is doorgaans de gebruiksverantwoordelijke, hoewel beide organisaties bij dezelfde dienstverlening betrokken zijn.

Aanbieders ontwikkelen een AI-systeem, laten het ontwikkelen of brengen het onder hun eigen naam of merk op de markt. Gebruiksverantwoordelijken gebruiken een AI-systeem in een professionele context en hebben afzonderlijke verplichtingen rond het gebruik en de publicatie ervan.

Eén organisatie kan beide rollen vervullen. Een bedrijf kan intern een model van een derde partij inzetten en vervolgens aanbieder worden zodra het dat model opneemt in een recruitment-, analyse- of klantenserviceproduct onder de eigen merknaam.

De FAQ van de Commissie over artikel 50 maakt onderscheid tussen transparantiefuncties op productniveau en contextspecifieke informatieverplichtingen. Contracten kunnen een wettelijke rol niet wegnemen als uit het daadwerkelijke productontwerp en de marktactiviteiten iets anders blijkt.

Een rollenregister moet de producteigenaar, modelleverancier, exploitant, publicerende partij, betrokken doelgroep en relatie met de EU vastleggen. Doe dit per toepassing, want één platform kan meerdere juridische rollen ondersteunen.

Waarom dit belangrijk is: Een onjuiste rolclassificatie legt technisch werk, het ontwerp van meldingen en de verzameling van bewijs bij de verkeerde organisatie neer.

Interactieve AI vereist een melding bij het eerste contact, geen verborgen beleid

Een spraakassistent die een klantgesprek opent, moet vóór het verzamelen van informatie of het voortzetten van het gesprek duidelijk maken dat het om AI gaat. Een melding die diep in de algemene voorwaarden is weggestopt, informeert iemand waarschijnlijk niet op het moment waarop die kennis zijn of haar keuzes beïnvloedt.

Aanbieders van systemen die bedoeld zijn voor directe interactie met mensen, moeten gebruikers erop wijzen dat zij met AI communiceren. Volgens de transparantierichtsnoeren van de Commissie geldt dit voor veelgebruikte chatbots, virtuele assistenten, AI-avatars, spraakassistenten en bepaalde interfaces met AI-agents.

De uitzondering voor interacties die voor een redelijk geïnformeerde en oplettende persoon echt vanzelfsprekend zijn, is beperkt. Ook een geanimeerde avatar kan een melding vereisen als het gedrag, de stem of de interface redelijkerwijs de indruk kan wekken dat een mens de avatar bestuurt.

Bij het ontwerp van de melding moet rekening worden gehouden met de interface:

Achtergrondanalyses, machine-to-machineverwerking en systemen zonder directe interactie met gebruikers vallen doorgaans buiten deze specifieke meldingsplicht. Andere bepalingen uit de AI-verordening en regels over privacy, consumentenbescherming of sectorspecifieke onderwerpen kunnen nog steeds van toepassing zijn.

Teams die meerdere ontwikkelingen in regelgeving en producten volgen, kunnen dit werk koppelen aan een intern monitoringproces, zoals de aanpak die wordt beschreven in Joulyan IT's gids voor een AI-nieuwsradar.

Waarom dit belangrijk is: Voor aantoonbare compliance telt de daadwerkelijke eerste interactie, niet het bestaan van een juridisch beleidsdocument ergens anders.

Machineleesbare markering wordt een technische vereiste

Een zichtbaar AI-label en een machineleesbaar herkomstsignaal lossen verschillende problemen op. Aanbieders van systemen die tekst, audio, afbeeldingen of video genereren of manipuleren, moeten ervoor zorgen dat de output technisch als kunstmatig kan worden herkend.

Artikel 50 schrijft niet één specifieke markeringstechnologie voor. De maatregelen moeten, voor zover technisch haalbaar, doeltreffend, interoperabel, betrouwbaar en bestand tegen verwijdering zijn. Daarbij moet rekening worden gehouden met het type content, de kosten en de huidige technische mogelijkheden.

De technische EU-studie naar markering en detectie onderzoekt opties zoals content credentials, cryptografische handtekeningen, watermerken en fingerprinting. Elke methode heeft andere eigenschappen op het gebied van behoud en verificatie.

Een gelaagd ontwerp is beter verdedigbaar dan één enkel signaal. Aanbieders kunnen ondertekende metadata combineren met een ingebed signaal, een verificatie-endpoint, instructies voor het behoud van markeringen en logs waaruit blijkt welke output is gemarkeerd.

Testen moeten de werkelijke distributieroute van de content volgen. Denk aan verkleinen, screenshots maken, transcoderen, documenten converteren, contentmanagementsystemen, socialemediaplatforms en bestanden die na het downloaden opnieuw worden geüpload.

Voor systemen die vóór 2 augustus 2026 op de markt zijn gebracht, geldt naar verluidt een beperkte overgangsperiode tot 2 december 2026, maar uitsluitend voor de technische markeringsplicht van de aanbieder. De aankondiging van de richtsnoeren door de Commissie voorziet niet in een algemeen uitstel voor de overige verplichtingen van artikel 50.

Waarom dit belangrijk is: Herkomstinformatie moet de volledige contentketen doorstaan. Anders kunnen afnemers verderop in de keten die informatie niet betrouwbaar behouden, detecteren of bekendmaken.

Gebruiksverantwoordelijken hebben nog steeds zichtbare meldingen voor deepfakes en biometrie nodig

Een watermerk van de aanbieder voldoet niet automatisch aan de verplichting van de gebruiksverantwoordelijke om het publiek te informeren. Technische signalen zijn bedoeld voor machines en onderzoekers, terwijl meldingen van gebruiksverantwoordelijken waarneembaar moeten zijn voor de betrokken persoon.

Bij deepfakes is doorgaans uiterlijk bij de eerste blootstelling van het publiek een duidelijke melding vereist. Afhankelijk van het formaat kan dat zichtbare tekst, een gesproken mededeling, een openingsscherm of een andere presentatievorm zijn die bij het medium past.

Voor artistieke, fictieve, satirische en vergelijkbare werken kan een minder ingrijpende aanpak gelden wanneer een prominente melding het werk zou verstoren. Die nuance is geen algemene uitsluiting. Leg daarom de gekozen meldingsmethode en de onderbouwing daarvan vast volgens de officiële vereisten van artikel 50.

Gebruiksverantwoordelijken van systemen voor emotieherkenning of biometrische categorisatie moeten betrokken personen informeren dat het systeem wordt gebruikt. Deze plicht kan gelden voor zowel realtimeverwerking als verwerking achteraf. Een melding mag daarom niet uitsluitend zijn ontworpen voor live camerabeelden.

Een systeem dat opgenomen vergaderingen op de werkplek analyseert, kan bijvoorbeeld nog steeds een melding vereisen, ook als de categorisatie pas na de vergadering plaatsvindt. Bestaande privacyverklaringen kunnen als communicatiekanaal dienen, maar het AI-gebruik moet daarin duidelijk en specifiek worden beschreven.

Waarom dit belangrijk is: Markeringen van aanbieders reizen mee met de content, maar meldingen van gebruiksverantwoordelijken moeten aansluiten op de doelgroep, het kanaal, het moment en de gebruikscontext.

Bij teksten over het algemeen belang wordt redactionele controle compliancebewijs

Een door AI opgestelde update over de volksgezondheid die na enkele spellingscorrecties wordt gepubliceerd, blijft doorgaans door AI gegenereerde tekst over een aangelegenheid van algemeen belang. Dat een mens op 'goedkeuren' klikt, betekent niet automatisch dat er sprake was van betekenisvolle redactionele controle.

Gebruiksverantwoordelijken moeten doorgaans bekendmaken dat tekst door AI is gegenereerd of gemanipuleerd wanneer deze wordt gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang. Relevante onderwerpen zijn onder meer politiek, volksgezondheid, consumentenveiligheid, openbaar bestuur, milieubescherming, rechtshandhaving en economische of wetenschappelijke ontwikkelingen die het publieke debat beïnvloeden.

De uitzondering hangt af van betekenisvolle menselijke beoordeling of redactionele controle, in combinatie met een identificeerbare persoon of entiteit die verantwoordelijk blijft. Uit de FAQ van de Commissie over artikel 50 blijkt dat oppervlakkig proeflezen, opmaak, grammaticacorrecties of procedurele goedkeuring waarschijnlijk niet voldoende zijn.

Bewijs van een inhoudelijke beoordeling kan bestaan uit:

• De naam van de redacteur en het tijdstip van goedkeuring
• De bronnen die de beoordelaar heeft gecontroleerd
• Feitelijke beweringen die zijn aangepast of bevestigd
• De beoordeling van invalshoek, context en weglatingen
• De definitieve versie die voor publicatie is goedgekeurd
• De entiteit die de redactionele verantwoordelijkheid behoudt

Hierdoor ontstaat in de praktijk een onderscheid tussen goedkeuring van content en redactionele controle. Een goedkeuring bevestigt dat een stap in de workflow is uitgevoerd. Redactionele controle toont aan dat een verantwoordelijke persoon de betekenis, feiten, bronnen en presentatie inhoudelijk heeft beoordeeld.

Uitgevers hoeven niet te kiezen tussen het labelen van elke zin waarbij AI is gebruikt en het volledig verbieden van AI-tools. Eén mogelijkheid is om tekst over aangelegenheden van algemeen belang die in wezen door AI is gegenereerd, van een label te voorzien. Een andere mogelijkheid is een gedocumenteerd redactioneel proces in te richten dat voor de uitzondering in aanmerking komt wanneer de feiten dat ondersteunen.

Waarom dit belangrijk is: Of een artikel over een aangelegenheid van algemeen belang een melding nodig heeft, kan sterker afhangen van de beoordelingsdocumentatie dan van de gebruikte schrijftool.

Voor GPAI-aanbieders geldt een parallel transparantieregime

Een model card alleen dekt waarschijnlijk niet het volledige documentatiepakket voor een AI-model voor algemene doeleinden, oftewel GPAI. GPAI-aanbieders hebben technische documentatie nodig, moeten informatie aan afnemers verstrekken, moeten een EU-beleid voor naleving van het auteursrecht voeren en moeten een voldoende gedetailleerde openbare samenvatting van de trainingscontent publiceren.

De Commissie beschouwt een trainingsrekenkracht boven 10²³ FLOP als een indicatief signaal bij het identificeren van GPAI-modellen. Het algemene karakter van het model blijft echter de inhoudelijke toets. Alleen de rekenkracht bepaalt de classificatie dus niet, volgens de officiële richtsnoeren voor GPAI-aanbieders.

Aanbieders van systemen verderop in de keten hebben voldoende informatie nodig om de mogelijkheden, beperkingen, beoogde integraties en relevante testomstandigheden te begrijpen. Inkoopteams moeten de ontvangst en beoordeling van documentatie daarom opnemen in de onboarding van leveranciers, in plaats van die informatie pas na de productlancering op te vragen.

Een inkoopdossier voor een model moet het volgende omvatten:

• Identiteit, versie en releasedatum van het model
• Ondersteunde en beperkte gebruiksdoeleinden
• Bekende grenzen van de mogelijkheden
• Evaluatie-informatie die relevant is voor het beoogde systeem
• Documentatie over het auteursrechtbeleid
• Beschikbaarheid van een samenvatting van de trainingscontent
• Afspraken over meldingen van wijzigingen
• Technische markeringen en instructies voor het behoud daarvan

De vrijwillige Gedragscode voor transparantie van door AI gegenereerde content biedt een beoordeelde route naar compliance voor technische markering door aanbieders en labeling door gebruiksverantwoordelijken. Alternatieve methoden blijven mogelijk, maar organisaties moeten dan mogelijk meer bewijs leveren dat die maatregelen even toereikend zijn.

Waarom dit belangrijk is: GPAI-documentatie wordt een bouwsteen voor de governance van producten verderop in de keten, geen vrijblijvend marketingmateriaal van leveranciers.

Door de boetes is de kwaliteit van bewijs even belangrijk als het interfaceontwerp

Het vaak genoemde maximum van € 35 miljoen of 7% van de wereldwijde omzet is niet de standaardboete voor overtredingen van de transparantieverplichtingen uit artikel 50. Die hogere categorie geldt voornamelijk voor verboden AI-praktijken.

Overtredingen van verplichtingen zoals artikel 50 kunnen doorgaans leiden tot boetes van maximaal € 15 miljoen of 3% van de wereldwijde jaaromzet, met inachtneming van evenredigheidsregels en specifieke overwegingen voor kleinere organisaties. De transparantie-FAQ van de Commissie licht de relevante handhavingsstructuur en voorwaarden toe.

Nationale markttoezichtautoriteiten zullen artikel 50 in de eerste plaats handhaven. Het AI-bureau heeft verantwoordelijkheden voor GPAI en bepaalde andere gebieden, terwijl de Europese Toezichthouder voor gegevensbescherming toezicht houdt op EU-instellingen.

Een screenshot van een chatbotmelding bewijst alleen dat één interface die melding op één specifiek moment heeft getoond. Sterker bewijs koppelt de vereiste aan de uitgerolde versie, taalinstelling, doelgroep, testresultaten, verantwoordelijke eigenaar en het herstelproces.

Een bewijsdossier voor artikel 50 kan het volgende bevatten:

• Inventaris van systemen en toepassingen
• Beoordelingen van de rollen van aanbieder en gebruiksverantwoordelijke
• Ontwerpen van meldingen en toegankelijkheidstests
• Markeringsarchitectuur en verificatieresultaten
• Testgegevens over distributie en transformaties
• Logs van redactionele beoordelingen
• Goedgekeurde beoordelingen van uitzonderingen
• Leverancierscontracten en instructies voor het behoud van markeringen
• Registraties van releases en wijzigingsbeheer
• Bewijs van incidentafhandeling en corrigerende maatregelen

Waarom dit belangrijk is: Toezichthouders beoordelen of beheersmaatregelen consequent hebben gewerkt, niet alleen of een beleidsdocument ze beschrijft.

Actiestappen

Begin hier (uw eerste stap)

Maak binnen vijf werkdagen een register van elk op de EU gericht AI-systeem en elke contentworkflow. Wijs voor iedere specifieke toepassing de rol van aanbieder of gebruiksverantwoordelijke toe.

Snel resultaat (directe impact)

• Test de eerste interactie van elke chatbot, avatar en spraakassistent. Leg vervolgens vast of vóór de inhoudelijke interactie een toegankelijke AI-melding verschijnt.
• Selecteer tien gegenereerde bestanden uit de productieomgeving en controleer of herkomstsignalen behouden blijven na downloaden, verkleinen, screenshots maken, documentconversie en opnieuw uploaden.

De diepte in (voor wie meer wil)

• Stel een beheersmatrix voor artikel 50 op met meldingen bij interacties, technische markering, deepfakelabels, biometrische meldingen, teksten over aangelegenheden van algemeen belang, uitzonderingen, verantwoordelijken, bewijs en testfrequenties.
• Pas contracten met model- en platformleveranciers aan. Stel daarin eisen aan markeringsdocumentatie, instructies voor het behoud van markeringen, meldingen van versiewijzigingen, technische informatie voor afnemers en duidelijk afgebakende verantwoordelijkheden voor informatieverstrekking.

Nuttige bronnen

• Artikel 50: Transparantieverplichtingen - Officiële tekst over de transparantieverplichtingen van aanbieders en gebruiksverantwoordelijken.
• FAQ van de Europese Commissie over artikel 50 - Uitgebreide richtsnoeren over het toepassingsgebied, uitzonderingen, tijdschema en boetes.
• Richtsnoeren voor transparantie van door AI gegenereerde content - Richtsnoeren van de Commissie voor interactieve systemen, synthetische content, deepfakes en biometrische toepassingen.
• Gedragscode voor transparantie - Vrijwillig kader voor technische markering en informatieverstrekking aan mensen.
• Verplichtingen voor GPAI-aanbieders - Officiële richtsnoeren over documentatie, auteursrechtbeleid, samenvattingen van trainingscontent en informatie voor afnemers.

Ontwikkelingen om te volgen

• Of nationale autoriteiten hun bewijsverzoeken voor onderzoeken naar artikel 50 op elkaar afstemmen.
• Welke herkomststandaarden gangbaar worden bij modelaanbieders, uitgevers en socialemediaplatforms.
• Hoe de beperkte overgangsperiode voor technische markering tot 2 december 2026 wordt geïnterpreteerd voor bijgewerkte systemen.
• Of publicatieteams hun registraties voor betekenisvolle menselijke redactionele controle standaardiseren.
• Hoe leverancierscontracten de verantwoordelijkheid verdelen wanneer markeringen uit eerdere schakels tijdens verdere verwerking verdwijnen.

Het grotere geheel

De transparantieregels van de EU AI-verordening creëren twee onderling verbonden compliancelagen. Aanbieders moeten AI-systemen en synthetische output zo ontwerpen dat de kunstmatige oorsprong kan worden vastgesteld. Gebruiksverantwoordelijken moeten die oorsprong vervolgens aan mensen bekendmaken in de context waarin dat relevant is.

De best verdedigbare aanpak behandelt transparantie als een eigenschap van de volledige levenscyclus. Die begint bij de productclassificatie, loopt door in het ontwerp van interfaces en herkomstinformatie en eindigt bij distributietests, redactionele registraties en het bewaren van bewijs.

2 augustus 2026 draait daarom minder om het toevoegen van een AI-label en meer om het aantonen dat de juiste melding de juiste workflow doorstaat. Organisaties die vóór die datum rollen in kaart brengen en echte publicatieroutes testen, beschikken bij de start van de handhaving over duidelijker bewijs.